LONDON (IT BOLTWISE) – Eine neue Angriffswelle im US- und EU-Umfeld nutzt kompromittierte Microsoft-365-Sitzungen, um trotz Multi-Faktor-Authentifizierung in Konten einzudringen. Forschende ordnen das Vorgehen einer Kombination aus Session-Diebstahl, RMM-Installationen und weiterem Credential-Harvesting zu. Dabei kommen Phishing-Varianten zum Einsatz, die sich als Rechnungen, Versanddokumente oder Tax-Hinweise tarnt. Besonders kritisch: Gestohlene Tokens können nach Passwort-Reset weiter gültig bleiben.
Die aktuelle Kampagnenlage rund um Microsoft 365 zeigt, wie stark Angreifer inzwischen auf den „alltäglichen“ Charakter von Unternehmenssoftware setzen. Laut einer Analyse von ANY.RUN wurden im August in den USA und in mehreren Teilen Europas Angriffe beobachtet, die nicht auf eine einzelne Sicherheitslücke angewiesen sind, sondern das Vertrauen adressieren, das Unternehmen in Logins, Remotemanagement-Tools und Routine-Dokumente investieren. Im Zentrum standen dabei Kontoübernahme, persistenter Fernzugriff und der systematische Diebstahl von Anmeldeinformationen. Entscheidend ist: Die Täter nutzen häufig genau jene Werkzeuge, die im IT-Betrieb als legitime Hilfsmittel gelten, wodurch sich ihr Verhalten im Netzwerk zunächst wie normales Administrationsrauschen anfühlt.
Technisch betrachtet ist Session Hijacking in diesem Kontext weniger ein „Trick“, der sofort auffällt, sondern eine Ausnutzung der Trennung zwischen Authentifizierung am Rand und Autorisierung in der laufenden Sitzung. Bei Mirage2FA handelt es sich laut den Forschenden um ein Phishing-as-a-Service-Setup, das mehr als 4.000 US-Viktimen kompromittierte. Der Kernmechanismus beruht auf Adversary-in-the-Middle-Techniken: Angreifer sollen dabei nicht nur Passwörter, sondern auch MFA-Codes und Session-Cookies abgegriffen haben. Damit können sie aktive Microsoft-365-Sitzungen übernehmen, selbst nachdem Nutzerinnen und Nutzer mehrstufige Authentifizierung erfolgreich abgeschlossen haben. Das verschiebt das Risiko von „Login ist gescheitert“ hin zu „Login war plausibel – und die Sitzung lebt weiter“, wodurch sich viele klassische Alarme zu spät melden.
Für die anfängliche Zielsteuerung kombinierten die Angreifer die technische Umsetzung mit sozialem Engineering, das sich in einem Unternehmensalltag gut tarnt. Die Auswertung beschreibt eine Phishing-Operation über 46 Länder hinweg; nahezu die Hälfte der beobachteten Aktivitäten wurde auf die USA bezogen. Als Köder dienten gefälschte Steuerhinweise, Rechnungen und Versanddokumente, die Empfänger dazu bringen sollten, signierte Remotemanagement-Komponenten zu installieren. Genannt werden dabei typische IT-Support-Werkzeuge wie ScreenConnect, ConnectWise und LogMeIn Rescue. Weil diese Anwendungen in vielen Firmen tatsächlich eingesetzt werden, kann die anschließende Kommunikation zunächst als „bekannte“ Admin-Aktivität erscheinen. Ohne eine Verhaltensanalyse, die Muster wie ungewöhnliche Installationswege oder abweichende Nutzungszeiten erkennt, wird es damit deutlich schwerer, den Missbrauch rechtzeitig von legitimen Wartungsfenstern zu unterscheiden.
Parallel fanden die Forschenden zusätzliche Payloads, die den kompromittierten Zustand in Richtung langfristiger Kontrolle erweitern. So wurde SnakeBiteAgent als.NET-basierter Remote-Access-Trojaner in Business-typischen ZIP-Archiven beschrieben. Solche Archive sind im Phishing-Kontext beliebt, weil sie sich in E-Mail-Anhängen „normal“ lesen lassen und in der Inbox weniger Aufmerksamkeit erzeugen. Laut Analyse soll die Malware Funktionen für Credential Theft, Keylogging und sogar Webcam-Zugriff enthalten haben; außerdem seien stille Installationen von Fernzugriffs-Tools wie AnyDesk möglich gewesen. Ergänzend taucht ein Phishing-Kit namens 3DBlast auf, das Microsoft-365- und Google-Loginseiten nachahmen sollte. Besonders relevant ist hier die Beschreibung browser-in-the-browser-Ansätze, OAuth-Device-Code-Phishing sowie Echtzeit-Session-Relays, die darauf ausgelegt sind, Sitzungsinformationen in Bewegung zu halten und statische Erkennungsmuster zu umgehen, während die Infrastruktur rotiert wird.
Auch das Timing der Kompromittierung spielt in der Risikoabwägung eine große Rolle. Laut den Forschenden können gestohlene Microsoft-365-Sitzungen nach einem Passwort-Reset weiterhin gültig bleiben. Genau das untergräbt die Sicherheitsannahme, die in vielen Organisationen noch immer zum Standard gehört: „Wenn wir das Passwort zurücksetzen, ist die Gefahr weg.“ In der Praxis müssen Unternehmen demnach aktive Tokens entziehen, zusätzlich aktive Sitzungen widerrufen und systematisch nach ungewöhnlichen RMM-Installationen suchen. Dazu passt die Empfehlung, bei Remote-Einstellungen strengere Identitätsprüfungen vorzunehmen, phishing-resistente MFA-Mechanismen zu priorisieren und Behavioral Threat Intelligence einzusetzen, um wechselnde Angreifer- Infrastrukturen frühzeitig zurückzuverfolgen.
Ein weiterer Aspekt der Kampagnenbeschreibung betrifft die Zuordnung zu Akteursstrukturen. Laut einer gemeinsamen Untersuchung mit ANY.RUN wird dabei von mutmaßlichen operativen Bezügen zu Lazarus gesprochen; als „Famous Chollima“ wird ein Akteur in diesem Zusammenhang geführt. Die konkrete Beschreibung lautet, dass gefälschte Identitäten genutzt wurden, um Remote-Hiring-Checks bei einem vermeintlichen DeFi-Startup zu bestehen, um danach legitimen Zugang zu Source Code und internen Systemen zu erlangen. Weil es sich hier um eine Zuordnung im Rahmen laufender Analysen handelt und nicht um einen rechtskräftig festgestellten Sachverhalt, bleibt die Kernaussage vor allem operativ: Social- und Zugangsprozesse sind in solchen Fällen Teil der Angriffsfläche. Für Security-Teams heißt das, dass sie nicht nur Logins, sondern auch onboarding-nahe Aktivitäten, Zugriffsfreigaben und Remote-Setup-Schritte überwachen müssen.
Für die Verteidigung ergeben sich daraus konkrete Prioritäten, die über „ein IOC nach dem anderen“ hinausgehen. Wer Detection-Lücken reduzieren will, setzt laut der Analyse verstärkt auf sandbox-getriebene Threat Intelligence beziehungsweise interaktive Analysefunktionen, um verdächtige Dateien und URLs vor dem Durchreichen in produktive Umgebungen zu bewerten. Ergänzend dürfte ein Fokus auf Token- und Session-Management liegen: Aktivität in Microsoft 365 lässt sich nicht nur am Login-Event festmachen, sondern auch daran, wie lange Sitzungen bestehen bleiben und ob sie mit der erwartbaren Nutzerhistorie korrespondieren. Damit wird die technische Grundlage klar: RMM-Missbrauch bleibt im Hintergrund effektiv, solange Angreifer legitime Administrationswege nachbilden können. Eine robuste Strategie muss daher Verhalten, Identität und Session-Lifecycle gemeinsam betrachten, statt sich auf einzelne Indikatoren zu verlassen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft-365-Session-Hijacking: Phishing, RMM-Missbrauch und Persistenz in Kampagnen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft-365-Session-Hijacking: Phishing, RMM-Missbrauch und Persistenz in Kampagnen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft-365-Session-Hijacking: Phishing, RMM-Missbrauch und Persistenz in Kampagnen« bei Google Deutschland suchen, bei Bing oder Google News!